용어와 정의
영문 또는 원어: SD-JWT
영문 정식명칭: Selective Disclosure for JSON Web Tokens
JSON의 영문 정식명칭: JavaScript Object Notation
JWT의 영문 정식명칭: JSON Web Token
한글명: 선택적 공개 웹 토큰
발급자가 서명한 정보 중 보유자가 선택한 항목을 공개하고, 검증자가 공개된 항목과 발급자 서명의 연결을 확인할 수 있게 하는 방식입니다.
정확한 의미와 동작 원리
발급자는 선택적으로 공개할 정보에 임의 값을 더해 계산한 해시를 서명된 토큰에 포함할 수 있습니다. 보유자는 필요한 정보와 해당 공개 자료를 제시하고, 검증자는 해시 및 서명을 확인합니다. 단순히 서명된 문서의 일부 문장을 지워 보내는 것과는 다릅니다.
정보를 적게 공개하는 기능과 보유자가 특정 키를 제어한다는 증명은 별개입니다. 규격은 필요한 경우 보유자 키 결합을 사용할 수 있도록 설명합니다. 검증자는 해당 업무에 키 결합이 필요한지 미리 정한 정책을 적용해야 하며 제시된 토큰 모양에 따라 보안 정책을 낮추면 안 됩니다.
쉽게 이해하기
여러 정보가 적힌 증명서를 통째로 제시하는 대신 필요한 항목만 제시하면서도 원래 발급자가 서명한 정보임을 확인하게 하는 예시입니다. 다만 필요한 항목이 발급되어 있어야 하며 생년월일만 있다고 나이를 숨긴 채 성인 여부가 자동 증명되는 것으로 설명하지 않습니다.
종류와 버전 및 관련 방식의 차이
일반 서명 웹 토큰과의 차이
일반 서명 토큰은 서명된 내용을 그대로 제시하는 경우가 일반적입니다. 선택적 공개는 공개 자료와 서명된 해시의 관계를 확인하여 일부 항목만 제시하도록 하는 추가 구조입니다.
보유자 키 결합의 유무
Key Binding은 보유자가 제어하는 키와 제시 행위를 연결하는 선택 기능입니다. 업무에서 필요하면 검증자가 이를 요구해야 하며 발급자 서명만 유효하다는 사실로 보유자 확인을 대신하지 않습니다.
자격증명 모델과 규격 판
검증 가능한 자격증명은 발급자, 보유자와 검증자 사이의 정보 모델입니다. 이 토큰 방식은 선택적 공개를 구현하는 구체적인 형식이며 모든 자격증명이 같은 토큰을 사용한다는 뜻은 아닙니다. RFC 9901은 2025년 11월 발표됐습니다.
적용 대상과 조건
필요한 정보만 전달하려는 자격 정보 제시 구조에서 검토할 수 있습니다. 무엇을 공개해야 하는지와 필수 검증 항목, 발급자 키 및 유효 기간을 응용 프로그램의 정책으로 정해야 합니다.
일부 항목을 공개하지 않더라도 여러 서비스의 제시 내용을 연결해 같은 사용자를 추정할 수 있는 위험은 남습니다. 검증자가 보존하는 정보도 최소화할 필요가 있습니다.
오해하기 쉬운 점
선택적 공개를 익명성이나 서로 다른 제시를 연결할 수 없다는 보장으로 표현하지 않습니다. 규격은 연결 가능성의 한계를 별도로 설명합니다.
필수 검증 정보까지 숨기면 유효성을 확인할 수 없습니다. 서명, 해시와 공개 자료를 올바르게 검증해야 하며 일반 문자열의 삭제나 화면 가림으로 대체하지 않습니다.
자주 묻는 질문
내용을 암호화하는 기술인가요?
선택적 공개와 서명 검증이 핵심입니다. 암호화된 안전한 전송이나 보관 정책을 대신하는 기능으로 사용하지 않습니다.
토큰을 복사하면 다른 사람이 쓸 수 없나요?
보유자 키 결합이 없거나 요구되지 않는 경우 재사용 위험을 고려해야 합니다. 필요한 업무에서는 키 결합과 새 제시의 검증 조건을 확인해야 합니다.
공식 근거와 적용 판
RFC 9901, 2025년 11월 기준입니다. 선택적 공개와 선택적인 보유자 키 결합 및 응용 프로그램 프로파일을 구분합니다.
최종 검토일: 2026-10-25